2019 年 OWASP API Security Top 10 レポート
API (アプリケーション・プログラム・インターフェース) は、すべての業界の企業にとって不可欠なツールです。多くの領域で API の使用が増加しており、API は最新のモバイル、SaaS、Web アプリケーションの重要な部分を構成しています。そのため、API セキュリティーの重要性について周知し、API に固有の脆弱性を公開することが、Web アプリケーションの場合以上に求められています。OWASP API Security Top 10 レポートは、開発者、テスター、ユーザーだけでなくプロジェクト・マネージャー、セキュリティー研究者、教育者が、API 関連の最も重大な最新のセキュリティーの脆弱性に関するインサイトを得るのに役立ちます。
問題点
API に対する脅威のランドスケープは常に変化しています。API は、アプリケーション・ロジックや個人情報 (PII) などの機密データを公開するため、アタッカーのターゲットになります。これらの要因は API の分析を困難にするだけでなく、脅威のランドスケープを大幅に変化させる原因となり得ます。こうした変化に対応するため、OWASP 組織が 2019 年 12 月 31 日にリリースした OWASP API Security Top 10 レポートでは、API の固有の脆弱性とセキュリティー・リスクを理解し、軽減するための戦略とソリューションに焦点を当てています。OWASP API Security Top 10 脆弱性
| ID | 名前 |
|---|---|
| API1 | オブジェクト・レベルの権限の不備 |
| API2 | ユーザー認証の不備 |
| API3 | データの過剰な露出 |
| API4 | リソース不足とレート制限 |
| API5 | 機能レベルの権限の不備 |
| API6 | 一括割り当て |
| API7 | セキュリティーの構成ミス |
| API8 | Injection (注入) |
| API9 | 不適切な資産管理 |
| API10 | Insufficient Logging and Monitoring (不完全なロギングとモニター) |